Un falso tecnico informatico che entra in ufficio può diventare il punto di partenza di un furto di documenti riservati. Il Legal Threat Landscape Report 2026 di CrowdStrike descrive attacchi agli studi legali nei quali l’inganno telefonico si affianca all’accesso fisico ai locali, con l’obiettivo di sottrarre informazioni e ottenere denaro attraverso l’estorsione.
Secondo l’azienda, i gruppi con finalità economiche rappresentano l’82% dell’attività malevola osservata nel settore. La percentuale riguarda le rilevazioni di CrowdStrike e non costituisce un censimento di tutti gli incidenti. Il rapporto, pubblicato il 28 ottobre e diffuso dall’ufficio stampa italiano il 10 novembre, analizza principalmente il periodo tra il 1° settembre 2025 e il 31 agosto 2026.
CHATTY SPIDER e il confronto dietro il +129%
Tra gli attori descritti compare CHATTY SPIDER, concentrato quasi esclusivamente sugli studi statunitensi. La pagina ufficiale del rapporto indica un aumento del 129% della sua attività contro il settore: il confronto riguarda i primi otto mesi del 2026 rispetto all’intero 2024. Non si tratta quindi di una variazione anno su anno, né di un dato riferito alla totalità degli attacchi informatici.
Lo studio legale offre accesso a informazioni che possono avere valore anche fuori dai suoi sistemi: corrispondenza dei clienti, operazioni societarie, proprietà intellettuale e documenti finanziari. La riservatezza di questi materiali può aumentare la pressione su chi riceve una richiesta di riscatto.
Il falso tecnico IT e il tentativo di furto dopo quattro minuti
In un episodio ricostruito da CrowdStrike, CHATTY SPIDER ha reclutato una persona che si è presentata come addetto IT per ottenere accesso fisico a uno studio e consentire il controllo remoto di una postazione. L’approfondimento tecnico dell’azienda colloca il caso nel novembre 2025 e riferisce l’uso di strumenti RMM, cioè programmi per il monitoraggio e la gestione da remoto.
Questi strumenti hanno impieghi legittimi nell’assistenza informatica. Il rischio nasce quando un soggetto non autorizzato riesce a farli installare o ad attivarli. La presenza di un’applicazione conosciuta non basta, da sola, a dimostrare che l’intervento sia autentico.
In un altro caso il gruppo ha tentato di sottrarre dati appena quattro minuti dopo l’accesso iniziale. Il comunicato descrive un tentativo di esfiltrazione, non un furto completato in quattro minuti: la distinzione conta per interpretare correttamente l’episodio.
455 organizzazioni citate sui siti di estorsione
Nel periodo settembre 2025-agosto 2026, i gruppi dediti all’estorsione contro obiettivi di alto valore hanno pubblicato i nomi di 455 organizzazioni del settore legale sui propri siti di divulgazione dei dati. CrowdStrike rileva un aumento del 39% rispetto al periodo precedente.
Il numero misura le organizzazioni citate su quelle pagine: non equivale a 455 violazioni confermate individualmente da fonti indipendenti. I siti dei criminali servono anche a esercitare pressione sulle vittime e le loro affermazioni richiedono verifiche.
Il valore dei documenti resta centrale anche quando i sistemi continuano a funzionare. L’estorsione può infatti fondarsi sulla minaccia di rendere pubblici i dati sottratti, una dinamica già affrontata nell’analisi sul ransomware e sul furto di informazioni aziendali.
Le false chiamate di assistenza e le operazioni di spionaggio
Il rapporto cita anche SNARKY SPIDER e CORDIAL SPIDER, che in un caso hanno preso di mira lo stesso studio a un mese di distanza. Le loro tecniche comprendono il vishing, ossia il phishing via telefono, e pagine che imitano i portali di accesso aziendali. Il falso supporto IT induce il personale a fidarsi di richieste che possono esporre le credenziali e l’accesso alle applicazioni online.
Il tema delle identità digitali compare anche nel precedente rapporto CrowdStrike sulle tecniche di attacco. Accanto al cybercrime, la nuova ricerca descrive campagne di spionaggio attribuite dall’azienda ad attori collegati alla Cina: TITAN PANDA avrebbe sfruttato un software di fatturazione del settore, mentre WARP PANDA avrebbe sfruttato come zero-day una vulnerabilità di ESXi, la piattaforma VMware per le macchine virtuali.
Come proteggere persone, accessi e documenti
Gli episodi descritti suggeriscono una difesa che comprenda anche le procedure di lavoro. Una richiesta di assistenza inattesa va verificata attraverso un contatto già noto; un visitatore che si presenta come tecnico deve avere un intervento autorizzato e un referente interno. La stessa verifica serve prima di concedere il controllo remoto del computer.
Sul piano tecnico, le raccomandazioni CISA e NSA sulla gestione delle identità richiamano l’importanza dell’autenticazione multifattore resistente al phishing. Un codice temporaneo, da solo, può essere acquisito da una pagina falsa: i diversi metodi di autenticazione non offrono lo stesso livello di protezione.
Per lo studio, questo significa affiancare alla protezione delle credenziali il controllo degli strumenti di assistenza e dei trasferimenti di documenti. Il segnale da riconoscere può essere una richiesta insolita, prima ancora di un file malevolo.
